Le Wall Street Journal contenait un article d’opinion en matière de cybersécurité qui a attiré mon attention, intitulé A Maritime Solution for Cyber Piracy. L’auteur, un avocat ayant travaillé par l’Air Force, suggère que, face au problème d’apparence insurmontable qu’est le piratage informatique, les États-Unis devraient penser à ressusciter le concept des «lettres de marque» afin de mobiliser des citoyens pour sa cyberdéfense.

La «letter of marque» («lettre de permission» ou «lettre de commission») était un concept juridique de licence (permission) permettant au gouvernement américain de confier à un citoyen, à une entreprise ou à une équipée un rôle dans la défense de la nation ou son commerce. En gros, à une époque où le gouvernement américain était souvent mal équipé pour composer avec les menaces navales et le piratage naval, le gouvernement s’était inspiré des nations européennes ayant elles-mêmes depuis longtemps autorisé des citoyens («privateers») à écumer les mers pour cibler les pirates ou des actifs de nations ennemies. Une fois en possession de lettres de marque, un citoyen, une entreprise ou une équipée pouvait agir contre des pirates ou les possessions d’un pays avec lequel on était en guerre sans risque de répercussions légales pour avoir attaqué un autre bateau ou une possession étrangère à l’extérieur des États-Unis, etc.

Ces autorisations permettaient donc à des «corsaires» (des citoyens en mission navale pour l’État ) d’attaquer les ennemis de la nation, en étant habituellement motivés par des récompenses liées aux navires coulés ou capturés, par exemple.

En somme, ces lettres permettaient de compter sur des mercenaires pour voir à la sécurité de la nation, dans la mesure où le gouvernement s’avérait mal équipé pour le faire entièrement lui-même. C’est ce qui mène l’auteur de l’article à suggérer que face à la menace sans cesse croissante du piratage informatique, on pourrait songer à ramener le concept des lettres de marque, afin d’autoriser des entreprises et des experts en cybersécurité à écumer l’Internet pour stopper les pirates informatiques.

Comme on le constate, nos gouvernements sont généralement peu efficaces pour contrer les cas de piratage informatique, du moins à court terme, préférant s’attaquer (juridiquement) aux plus gros cas à l’aide des forces de l’ordre et du système judiciaire. La quantité de problèmes de cybersécurité rend l’implication de l’État inadéquate pour endiguer réellement le problème, les menaces de ce type pouvant aller jusqu’à menacer les infrastructures de la nation (comme on l’a vu récemment avec l’attaque liée à un oléoduc américain par SolarWinds).

Fait intéressant, l’article souligne que SolarWinds a bien fonctionné entre autres parce que le droit américain interdit à son chien de garde principal en matière de cybersécurité (la NSA) de surveiller les réseaux et systèmes situés à l’intérieur des États-Unis. Ainsi, des attaques issues de systèmes hébergés aux États-Unis (chez Microsoft et Amazon, dans ce cas-ci) peuvent passer inaperçues ou sous le radar jusqu’à ce qu’il soit trop tard.

C’est ce qui fait dire à l’auteur qu’on devrait peut-être songer à combler le vide en matière de cybersécurité en ramenant le concept des lettres de marque, qu’on pourrait adapter à l’ère numérique. Devant des menaces de cybersécurité incessantes, le fait d’offrir des récompenses aux individus et aux entreprises pourrait nous permettre de mieux composer avec le problème, en créant des incitatifs (notamment financiers) adéquats, non seulement pour ce qui est de «couler» les pirates, mais aussi (et peut-être surtout) en partageant de l’information que les sociétés victimes sont souvent réticentes à divulguer en pratique.

Bien que j’ignore comment cela pourrait fonctionner en pratique, je trouve que l’idée est certainement intéressante. À voir le flot quasi incessant d’histoires de piratage informatique à la une depuis quelques années, il faut avouer qu’une nouvelle solution s’impose. Visiblement, notre système est incapable de composer adéquatement avec la cybercriminalité. Peut-être est-il temps d’envisager des solutions juridiques de rechange?